Los parches de Microsoft registran 1413 fallos, incluido un error explotado en el shell de Windows.

Microsoft batió el martes su propio récord de actualizaciones (Patch Tuesday) al publicar parches para la impresionante cifra de 1413 vulnerabilidades, incluyendo una que, según la compañía, está siendo explotada activamente.

Estas incluyen 1102 fallos en Windows, 134 en Office, 61 en Herramientas para desarrolladores, 36 en SharePoint Server y 22 en SQL Server. De estos, más de 670 están relacionados con la escalada de privilegios, seguidos de más de 300 fallos de ejecución remota de código y 250 fallos de divulgación de información. Más de 70 fallos se consideran críticos.

"Antes, encontrar cientos de vulnerabilidades (CVE) en una sola versión era la excepción; ahora es lo habitual", afirmó Dustin Childs, director de Concienciación sobre Amenazas de la Zero Day Initiative (ZDI). "¿Tiene la IA la culpa? En parte. Está acelerando la búsqueda de errores en ambos lados, por lo que los proveedores encuentran (y corrigen) más fallos, y los investigadores también los encuentran más rápido".

Pero la IA no crea estos errores de la nada; simplemente acorta el tiempo entre la existencia de una vulnerabilidad y su detección. El volumen ya no es lo importante. Lo que importa es que el descubrimiento se está acelerando más que la explotación, por lo que los equipos que priorizan las vulnerabilidades basándose únicamente en el número de CVE en lugar de en su explotabilidad están malgastando recursos en errores equivocados. Corrijan lo que esté probado, priorizado y sea público, y traten todo lo demás como la nueva normalidad de este mes.

Las tres vulnerabilidades más destacadas se enumeran a continuación:

CVE-2026-96951 (puntuación CVSS: 8.8): Una vulnerabilidad de inyección de comandos en Windows Shell que permite a un atacante no autorizado eludir una función de seguridad a través de una red.

CVE-2026-108398 (puntuación CVSS: 8.8): Una vulnerabilidad de ruta de búsqueda no confiable en .NET Framework que permite a un atacante autorizado eludir una función de seguridad localmente. CVE-2026-92707 (puntuación CVSS: 5.3) - Una vulnerabilidad de asignación de memoria secuencial mal controlada en MessagePack-CSharp que permite a un atacante no autorizado denegar el servicio en una red.

Microsoft, que reconoció la labor de Riku Bamba y Yuya Chudo de Fujitsu, así como la de Benoit Sevens de Anthropic y la del investigador yhw por reportar la vulnerabilidad CVE-2026-96951, afirmó que la vulnerabilidad ya ha sido explotada.

"Un atacante que explotara con éxito la vulnerabilidad podría eludir las defensas de Marca de la Web (MOTW)", declaró Microsoft. "En un escenario de ataque por correo electrónico o mensajería instantánea, el atacante podría enviar al usuario objetivo un archivo especialmente diseñado para explotar la vulnerabilidad".

En cualquier caso, un atacante no tendría forma de obligar a un usuario a ver contenido controlado por él. En cambio, tendría que convencer al usuario de que realizara alguna acción. Por ejemplo, podría incitarlo a hacer clic en un enlace que lo redirija a su sitio web o a enviar un archivo adjunto malicioso.

Se desconoce cómo se está explotando la vulnerabilidad en ataques reales, quién la está explotando y quiénes han sido las víctimas. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido la vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), exigiendo a las agencias federales que apliquen las correcciones antes del 16 de octubre de 2026.

La vulnerabilidad CVE-2026-108398 era de dominio público en el momento de la publicación de los parches, y Microsoft ha declarado que podría explotarse para eludir la aplicación del Control de Aplicaciones de Windows Defender (WDAC) y ejecutar aplicaciones no autorizadas en los sistemas objetivo.

«Un atacante autenticado podría colocar un ensamblado .NET especialmente diseñado en un sistema afectado y registrarlo para que lo cargue un proceso protegido», declaró Microsoft. «Una explotación exitosa podría eludir las restricciones del Control de aplicaciones de Windows Defender y permitir al atacante ejecutar código dentro del proceso protegido. No se requiere la interacción del usuario».